Авторизация в ESIA на сервере терминалов с ЭЦП по ГОСТ-2012 / Хабр

Защита систем интернет-банкинга: tls, электронная подпись, госты, токены

image

Многие современные системы ДБО предоставляют для обслуживания клиентов Web-интерфейс. Преимущества «тонкого клиента» перед «толстым клиентом» очевидны. В то же время существуют федеральные законы, приказы регуляторов и требования к системам ДБО от Банка России, многие из которых касаются именно защиты информации в системах ДБО. Как-то их нужно исполнять и обычно применяются криптосредства, реализующие российские криптоалгоритмы (ГОСТы). Эти криптосредства закрывают часть «дыр», но при их внедрении может существенно возрасти сложность пользования системой ДБО для клиента.

В данной статье мы из «кирпичиков» соберем и испытаем на демонстрационном интернет-банке комплексное решение — по сути специальный переносной защищенный браузер, хранящийся на flash-памяти — в котором будут реализованы закрытие канала (TLS), строгая двухфакторная аутентификация на WEB-ресурсе и электронная подпись платежных поручений посредством USB-токена Рутокен ЭЦП или trustscreen-устройства Рутокен PINPad. Фишка решения в том, что оно абсолютно необременительно для конечного пользователя — подключил токен, запустил браузер и сразу же можно начинать тратить деньги.

TLS, аутентификация и подпись реализуются с использованием российской криптографии.

Дальше пойдет мануал с пояснениями.

Итак, «кирпичики» решения (для Windows):

1. Загружаем браузер Mozilla FireFox Portable Edition, распаковываем его на flash-память Рутокен ЭЦП Flash. В качестве стартовой страницы указываем ему demo.rutoken.ru

2. Загружаем sTunnel, собранный с поддержкой ГОСТов. В архиве все необходимые файлы, в том числе openssl с поддержкой российской криптографии. Распаковываем на flash-память Рутокен ЭЦП Flash в папку sTunnel. Обратите внимание, что папка sTunnel с файлами должна лежать в корне flash-памяти устройства.

Конфиг:

; проверять сертификат сервера
verify=2
; прокси работает в режиме клиента
client=yes
; версия протокола SSL
sslVersion=TLSv1
; показывать значок в в трее
taskbar=yes
; уровень логирования
DEBUG=7

[https-demobank]
; при загрузке openssl подгружать engine gost
engine=gost
; корневой сертификат, до которого строится цепочка при проверке сертификата сервера
CAFile=ca.crt
; прокси принимает незащищенные соединения на 1443 порту localhost
accept = 127.0.0.1:1443
; прокси устанавливает защищенные соединения с demo.rutoken.ru:443
connect = demo.rutoken.ru:443
; используемый в протоколе TLS  шифрсьют
ciphers = GOST2001-GOST89-GOST89
TIMEOUTclose = 1

sTunnel при запуске будет на 127.0.0.1:1443 принимать незащищенное соединение, устанавливать защищенное соединение с demo.rutoken.ru:443 и передавать по нему принятые на вход данные.

Если вы работаете в интернете через прокси-сервер (например, корпоративный), то требуется дополнительное конфигурирование sTunnel.

При установке защищенного соединения производится строгая аутентификация сервера и шифрование передаваемых данных.

3. Прописываем в браузер Mozilla FireFox Portable Edition прокси 127.0.0.1:1443, для всех протоколов. Таким образом все данные пойдут через sTunnel. Прокси прописывается так: Настройки->Дополнительные->Сеть->Настроить->Ручная настройка прокси. Установить галочку «Использовать этот прокси-сервер для всех протоколов»

4. Добавляем в браузер Рутокен Плагин. Для этого файлы npCryptoPlugin.dll и rtPKCS11ECP.dll из архива кладем в папку FirefoxPortableDataplugins

5. Пишем скрипт автозапуска на vbscript. Скрипт сначала запускает sTunnel, а затем Mozilla FireFox Portable Edition.

Dim WshShell, oExec
Set WshShell = CreateObject("WScript.Shell")

Set wshSystemEnv = wshShell.Environment( "PROCESS" )
currentDirectory = left(WScript.ScriptFullName,(Len(WScript.ScriptFullName))-(len(WScript.ScriptName)))
wshSystemEnv( "OPENSSL_ENGINES" ) = currentDirectory   "stunnel"

Set oExec = WshShell.Exec("stunnelstunnel.exe")

Do While oExec.Status = 1
     WScript.Sleep 100
Loop

Set oExec = WshShell.Exec( "FirefoxPortableFirefoxPortable.exe")

Сохраняем его в файл DemoBank.vbs и кладем в корень flash-памяти устройства Рутокен ЭЦП Flash.

Все.

Теперь запускаем DemoBank.vbs и попадаем на демо-площадку Рутокен по защищенному соединению. Если произошла ошибка при запуске скрипта, то еще раз обратите внимание на иерархию папок.

Далее производим регистрацию, двухфакторную аутентификацию клиента и подпись платежа с помощью Рутокен Плагина и USB-токена, как это описано в статьях habrahabr.ru/company/aktiv-company/blog/155835 и habrahabr.ru/company/aktiv-company/blog/165887.

Для работы на другом рабочем месте просто подключаем Рутокен ЭЦП Flash и запускаем DemoBank.vbs.

Что мы получили? Переносное и простое для конечного пользователя решение, отвечающее современным представлениям о безопасности cистем с Web-интерфейсом и полностью построенное на использовании российских криптоалгоритмов.

Настройка двухфакторной аутентификации в домене windows

Теоретическая часть:

Служба каталога Active Directory поддерживает возможность аутентификации с помощью смарт-карты и токена, начиная с Windows 2000. Она заложена в расширении PKINIT (public key initialization — инициализация открытого ключа) для протокола Kerberos RFC 4556 .

Протокол Kerberos был специально разработан для того, чтобы обеспечить надежную аутентификацию пользователей. Он может использовать централизованное хранение аутентификационных данных и является основой для построения механизмов Single Sing-On. Протокол основан на ключевой сущности Ticket (билет).

Авторизация в ESIA на сервере терминалов с ЭЦП по ГОСТ-2012 / Хабр

Ticket (билет) является зашифрованным пакетом данных, который выдается доверенным центром аутентификации, в терминах протокола Kerberos — Key Distribution Center (KDC, центр распределения ключей).

Когда пользователь выполняет первичную аутентификацию после успешного подтверждения его подлинности, KDC выдает первичное удостоверение пользователя для доступа к сетевым ресурсам — Ticket Granting Ticket (TGT).

В дальнейшем при обращении к отдельным ресурсам сети, пользователь, предъявляет TGT, получает от KDC удостоверение для доступа к конкретному сетевому ресурсу — Ticket Granting Service (TGS).

Одним из преимуществ протокола Kerberos, обеспечивающим высокий уровень безопасности, является то, что при любых взаимодействиях не передаются ни пароли, ни значения хеша паролей в открытом виде.

Расширение PKINIT позволяет использовать двухфакторную аутентификацию по токенам или смарт-картам на этапе предаутентификации Kerberos.

Вход в систему может быть обеспечен, как при использовании службы каталога домена, так и локальной службы каталога. TGT создается на основе электронной подписи, которая вычисляется на смарт-карте или токене.

Все контроллеры доменов должны иметь установленный сертификат Domain Controller Authentication, или Kerberos Authentication, т. к. реализуется процесс взаимной аутентификации клиента и сервера.

Практика:

Приступим к настройке.

Сделаем так, чтобы в домен под вашей учетной записью можно было зайти только по предъявлению токена и зная PIN-код.

Для демонстрации мы будем использовать Рутокен ЭЦП PKI производства компании «Актив».

Авторизация в ESIA на сервере терминалов с ЭЦП по ГОСТ-2012 / Хабр

1 Этап — Настройка домена Первым делом установим службы сертификации.

Дисклеймер.

Эта статья не является туториалом по внедрению корпоративного PKI. Вопросы проектирования, разворачивания и грамотного применения PKI тут не рассматриваются ввиду необъятности этой темы.

Все контроллеры доменов и все клиентские компьютеры в рамках леса, где осуществляется внедрение такого решения, обязательно должны доверять корневому Удостоверяющему Центру (Центру Сертификации).

Задача центра сертификации — подтверждать подлинность ключей шифрования с помощью сертификатов электронной подписи.

Технически центр сертификации реализован как компонент глобальной службы каталогов, отвечающий за управление криптографическими ключами пользователей. Открытые ключи и другая информация о пользователях хранится удостоверяющими центрами в виде цифровых сертификатов.

Удостоверяющий центр, выдающий сертификаты для использования смарт-карт или токенов, должен быть помещен в хранилище NT Authority.

Зайдите в Диспетчер сервера и выберите «Добавить роли и компоненты».

При добавлении ролей сервера выберите «Службы сертификации Active Directory» (Microsoft категорически рекомендует не делать это на контроллере домена, дабы не огрести проблем с производительностью). В открывшемся окне выберите «Добавить компоненты» и выберите пункт «Центр сертификации».

На странице для подтверждения установки компонентов нажмите «Установить».

2 Этап — Настройка входа в домен с помощью токена

Для входа в систему нам понадобится сертификат, который содержит идентификаторы Smart Card Logon и Client Authentication.

Сертификат для смарт-карт или токенов также должен содержать UPN пользователя (суффикс имени участника-пользователя). По умолчанию суффиксом имени участника-пользователя для учетной записи является DNS-имя домена, которое содержит учетную запись пользователя.

Сертификат и закрытый ключ должны быть помещены в соответствующие разделы смарт-карты или токена, при этом закрытый ключ должен находиться в защищенной области памяти устройства.

В сертификате должен быть указан путь к точке распространения списка отзыва сертификатов (CRL distribution point). Такой файл содержит список сертификатов с указанием серийного номера сертификата, даты отзыва и причины отзыва. Он используется для передачи сведений об отозванных сертификатах пользователям, компьютерам и приложениям, пытающимся проверить подлинность сертификата.

Настроим установленные службы сертификации. В правом верхнем углу нажмите на желтый треугольник с восклицательным знаком и щелкните «Настроить службы сертификации…».

Авторизация в ESIA на сервере терминалов с ЭЦП по ГОСТ-2012 / Хабр

В окне «Учетные данные» выберите необходимые учетные данные пользователя для настройки роли. Выберите «Центр сертификации».

Выберите «ЦС предприятия».

ЦС предприятия интегрированы с AD. Они публикуют сертификаты и списки отзыва сертификатов в AD.

Укажите тип «Корневой ЦС».

На следующем этапе выберите «Создать новый закрытый ключ».

Выберите период действия сертификата.

3 этап — Добавление шаблонов сертификатов

Для добавления шаблонов сертификатов откройте Панель управления, выберите пункт «Администрирование» и откройте Центр сертификации.

Щелкните по названию папки «Шаблоны сертификатов», выберите пункт «Управление».

Щелкните по названию шаблона «Пользователь со смарт-картой» и выберите пункт «Скопировать шаблон». На следующих скриншотах показано, какие параметры в окне «Свойства нового шаблона» необходимо изменить.

Авторизация в ESIA на сервере терминалов с ЭЦП по ГОСТ-2012 / Хабр

Если в списке поставщиков нет «Aktiv ruToken CSP v1.0», то необходимо установить комплект «Драйверы Рутокен для Windows».

Начиная с Windows Server 2008 R2 вместо специального провайдера от производителя можно использовать «Microsoft Base Smart Card Crypto Provider».

Для устройств Рутокен библиотека «минидрайвера», поддерживающая «Microsoft Base Smart Card Crypto Provider», распространяется через Windows Update.

Проверить установился ли «минидрайвер» на вашем сервере можно подключив Рутокен к нему и посмотрев в диспетчер устройств.

Авторизация в ESIA на сервере терминалов с ЭЦП по ГОСТ-2012 / Хабр

Если «минидрайвера» по каким-то причинам нет, его можно установить принудительно, инсталлировав комплект «Драйверы Рутокен для Windows», а после этого воспользоваться «Microsoft Base Smart Card Crypto Provider».

Комплект «Драйверы Рутокен для Windows» распространяется бесплатно с сайта Рутокен .

Авторизация в ESIA на сервере терминалов с ЭЦП по ГОСТ-2012 / Хабр

Добавьте два новых шаблона «Агент сертификации» и «Пользователь с Рутокен».

Для этого выйдите из окна «Управления шаблонами». Нажмите правой кнопкой мыши на «Шаблоны сертификатов» и выберите пункт меню «Создать» и подпункт «Выдаваемый шаблон сертификата».

Авторизация в ESIA на сервере терминалов с ЭЦП по ГОСТ-2012 / Хабр

Далее выберите «Агент регистрации» и «Пользователь с Rutoken» и нажмите «ОК».

Авторизация в ESIA на сервере терминалов с ЭЦП по ГОСТ-2012 / Хабр
Авторизация в ESIA на сервере терминалов с ЭЦП по ГОСТ-2012 / Хабр

Далее нам необходимо выписать сертификат администратору домена. Откройте службу «Выполнить» и укажите команду mmc. Добавьте оснастку «Сертификаты».

В окне «Оснастки диспетчера сертификатов» выберите «моей учетной записи пользователя». В окне «Добавление и удаление оснастки» подтвердите добавление сертификатов.

Выберите папку «Сертификаты».

Авторизация в ESIA на сервере терминалов с ЭЦП по ГОСТ-2012 / Хабр

Запросите новый сертификат. Откроется страница для регистрации сертификата. На этапе запроса сертификата выберите политику регистрации «Администратор» и нажмите «Заявка».

Авторизация в ESIA на сервере терминалов с ЭЦП по ГОСТ-2012 / Хабр

Таким же образом запросите сертификат для Агента регистрации.

Чтобы запросить сертификат для определенного пользователя щелкните «Сертификаты», выберите пункт «Зарегистрироваться от имени…».

Авторизация в ESIA на сервере терминалов с ЭЦП по ГОСТ-2012 / Хабр

В окне для запроса сертификата установите флажок «Пользователь с Рутокен».

Теперь необходимо выбрать пользователя.

В поле «Введите имена выбранных объектов» укажите имя пользователя в домене и нажмите «Проверить имя».

В окне для выбора пользователя нажмите «Заявка».

В раскрывающемся списке выберите имя токена и укажите PIN-код.

Авторизация в ESIA на сервере терминалов с ЭЦП по ГОСТ-2012 / Хабр

Таким же образом выберите сертификаты для других пользователей в домене.

4 этап — Настройка учетных записей пользователей

Для настройки учетных записей откройте список пользователей и компьютеров AD.

Тема 2.6. аутентификация по электронному ключу в повседневной жизни

Электронный ключ eToken представляет собой защищенное устройство, предназначенное для хранения секретных ключей и сертификатов электронно-цифровой подписи. Персональное USB-устройство eToken реализует строгую аутентификацию пользователя в системе Дистанционного Банковского Обслуживания и минимизируют риск компрометации секретных ключей электронной цифровой подписи (ЭЦП), которые хранятся в защищенной области памяти ключа и никогда не покидают её. Это преимущество eToken гарантирует невозможность копирования ключевой информации, сводя на нет любые попытки злоумышленника исполнить роль легального пользователя в информационном обмене.

Аутентификация на основе аппаратных ключей представляет собой более удобный и безопасный способ подключения к информационным ресурсам по сравнению с аутентификацией по логину и паролю. В этой статье мы познакомимся с технологиями аутентификации на основе смарт-карт, а также поговорим о централизованном управлении смарт-картами и другими типами ключевых носителей в корпоративной среде, построенной на базе Red Hat Enterprise Linux (RHEL).

Важной возможностью решения Red Hat является технология единого входа (сквозная аутентификация, single sign-on) — пользователь, воспользовавшийся аппаратным ключом, получает авторизованный доступ не только данным и возможностям своей локальной рабочей станции, например, к возможности разблокировать сеанс работы, но и к сетевым ресурсам, базам данных, бизнес-приложениям в рамках корпоративной сети.

Сквозная аутентификация

Современные корпоративные пользователи применяют в своей работе большое количество приложений и сервисов, для каждого из которых необходима авторизация. Обслуживание многочисленных паролей, необходимость ввода пароля при каждом входе на тот или иной ресурс доставляют серьёзные хлопоты пользователям и администраторам. Для решения данной проблемы применяется технология единого входа (сквозная аутентификация, single sign-on, SSO), которая позволяет использовать единый метод аутентификации для всех сетевых ресурсов.

Red Hat Enterprise Linux 6 поддерживает технологию SSO для нескольких типов ресурсов, включая вход на рабочую станцию, разблокировку экрана, получение доступа к web-страницам с помощью Mozilla Firefox и отправку зашифрованной S/MIME почты с помощью Mozilla Thunderbird.

Одним из основополагающих принципов создания безопасной среды является корректное ограничение прав доступа для каждого пользователя, подключённого к сети. Если доступ разрешён, то пользователь может авторизоваться в системе и система подтвердит его идентификацию. Эффективная реализация SSOпредусматривает качественную организацию проверки подлинности субъектов доступа, и у RHEL для этого есть два механизма:

¾ аутентификация на основе протокола Kerberos,

¾ аутентификация с использованием электронных ключей.

Kerberos

Многие информационные системы используют протокол Kerberos, которая обеспечивает аутентификацию пользователей с помощью учётных данных с ограниченным сроком действия. Выглядит это так:

¾ пользователь проходит процедуру аутентификации, например, вводит верный пароль, и, возможно, использует аппаратный ключ;

¾ в случае успеха аутентификации система создаёт для этого пользователя маркер безопасности — своего рода абонементный билет на вход в течение определенного времени.

С помощью такого билета пользователь может авторизоваться множество раз во всех доступных ему сервисах. Например, он может зайти по маркеру безопасности как в почту, так и на зашифрованный web-сайт, пройдя процедуру ввода своих учётных данных всего лишь раз. В зависимости от требований к защищенности системы время жизни маркера безопасности можно настраивать заставляя пользователя время от времени проходить процедуру аутентификации заново и получать новый билет.

Электронные ключи

Другая технология аутентификации, которая может использоваться в дополнение к Kerberos или как альтернатива, предусматривает предъявление электронного ключа. Электронный ключ, или сертификат — это электронный документ, который является удостоверением своего владельца в информационной системе. С технологической точки зрения сертификат устанавливает соответствие между пользователем и его открытым ключом. Сертификаты могут храниться на смарт-картах, небольших носителях, называемых токенами, и других устройствах. Аутентификация с использованием смарт-карт происходит в три шага:

Пользователь вставляет носитель ключа в считыватель. В RHEL данная операция автоматически регистрируется подключаемыми модулями аутентификации (pluggable authentication modules, PAM).

Система соотносит сертификат с учётной записью пользователя, после чего проверяет соответствие открытого ключа в сертификате пользователя, и соответствующего закрытого ключа данного пользователя, который хранится на сервере.

Если сертификат успешно проходит проверку в центре распределения ключей (Key Distribution Center — KDC), то пользователю разрешается войти в систему.

Инфраструктура открытых ключей Red Hat Certificate System

Все основные операции инфраструктуры открытых ключей такие, как выпуск, обновление, контроль статуса и отзыв сертификатов, запись на носитель, архивирование и восстановление криптографических ключей осуществляются с помощью модуля Red Hat Certificate System (RHCS), который состоит из следующих подсистем:

Центр сертификации (или менеджер сертификатов) является ядром RHCS, обеспечивая выпуск и отзыв всех сертификатов среды. С помощью центра сертификации можно создать домен безопасности для всех доверенных подсистем.

Центр восстановления ключей (или менеджер восстановления данных) служит для хранения ключевой пары на сервере с целью восстановления в случае утраты пользователем закрытого ключа. В связи с требованием о невозможности отзыва пользователем своей электронной подписи Центр восстановления может использоваться только для ключей шифрования.

Сервис подтверждения статуса сертификата (online certificate status responder, OCSP) проверяет валидность сертификата на момент запроса.

Центр регистрации обрабатывает запросы на выпуск сертификатов, включая, если нужно, процесс согласования.

Подсистема управления носителями (Token Management System) обеспечивает управление всеми ключевыми носителями и в свою очередь состоит из следующих компонент:

Клиент корпоративной безопасности (Enterprise Security Client) представляет собой пользовательский интерфейс для работы с сертификатами на ключевых носителях (смарт-картах).

Система обработки носителей (Token Processing System, TPS) является серверной частью клиента корпоративной безопасности и обеспечивает взаимодействие клиента с бэк-офисными системами: центром сертификации, центром регистрации и центром восстановления ключей.

Сервис ключевых носителей (Token Key Service, TKS) служит для управления мастер-ключами, необходимыми для взаимодействия TPS и Enterprise Security Client.

Размещение ключей и сертификатов на внешних носителях даёт пользователям больше возможностей и обеспечивает высокий уровень защиты, но в тоже время является достаточно дорогой и сложной в эксплуатации технологией. Если ставится задача реализовать лишь некоторые криптографические функции, например, отправку зашифрованной почты или SSL, то для этого RHCS может работать в режиме «без использования внешних носителей». В этом случае ключи и сертификаты могут храниться в базе данных, а для управления сертификатами достаточно установить центр сертификации.

Клиент корпоративной безопасности

Клиент корпоративной безопасности представляет собой кросс-платформенное приложение, которое позволяет конечным пользователям выполнять все необходимые операции с ключами и сертификатами на своих носителях. С помощью него можно создать систему самообслуживания, что может существенно снизить нагрузку на администраторов.

Для конечных пользователей клиент корпоративной безопасности даёт следующие возможности:

¾ позволяет регистрировать ключевые носители, чтобы они распознавались сервисом TPS;

¾ обеспечивает ключевых носителей, включая проверку статуса и перерегистрацию;

¾ поддерживает идентификацию пользователей и устройств.

Тема 2.7. Варианты использования системы Криптон для защиты отдельных объектов и системы в целом

Варианты разворачивания защиты и соответствующих им техническим средствам.

Защита от несанкционированного доступа (НСД) ресурсов автономно работающих и сетевых ПК. Эта функция реализуется программными, программно-аппаратными и аппаратными средствами, которые будут рассмотрены ниже на конкретных примерах.

Защита серверов и отдельных пользователей сети Internet от злонамеренных хакеров, проникающих извне. Для этого используются специальные межсетевые экраны (брандмауэры), которые в последнее время приобретают все большее распространение (см. «Мир ПК», №11/2000, с. 82).

Защита секретной, конфиденциальной и личной информации от чтения посторонними лицами и целенаправленного ее искажения осуществляется чаще всего с помощью криптографических средств, традиционно выделяемых в отдельный класс. Сюда же можно отнести и подтверждение подлинности сообщений с помощью электронной цифровой подписи (ЭЦП). Применение криптосистем с открытыми ключами и ЭЦП имеет большие перспективы в банковском деле и в сфере электронной торговли. В данной статье этот вид защиты не рассматривается.

Достаточно широкое распространение в последние годы приобрела защита ПО от нелегального копирования с помощью электронных ключей. В данном обзоре она также рассмотрена на конкретных примерах.

Защита от утечки информации по побочным каналам (по цепям питания, каналу электромагнитного излучения от компьютера или монитора). Здесь применяются такие испытанные средства, как экранирование помещения и использование генератора шума, а также специальный подбор мониторов и комплектующих компьютера, обладающих наименьшей зоной излучения в том частотном диапазоне, который наиболее удобен для дистанционного улавливания и расшифровки сигнала злоумышленниками.

Защита от шпионских устройств, устанавливаемых непосредственно в комплектующие компьютера, так же как и измерения зоны излучения, выполняется спецорганизациями, обладающими необходимыми лицензиями компетентных органов.

Защита от несанкционированного доступа со стороны сети с помощью средств серии Криптон/Crypton

К основным методам защиты от несанкционированного досту­па (НСД) со стороны сети относятся следующие криптографиче­ские методы:

— абонентское шифрование (АШ);

— электронная цифровая подпись (ЭЦП);

— пакетное шифрование (ПШ) (шифрование IP-пакетов или им подобных);

— криптографическая аутентификация абонентов.

Шифрование может проводиться как с открытым распределением ключей (асимметричная криптография), так и с закрытым (симметричная криптография). В любом случае используется матрица ключей для связи абонентов сети. Однако в первом случае она вычисляется на основе собственного секретного ключа або­нента и базы открытых сертификатов других абонентов, во вто­ром — генерируется заранее.

Абонентское шифрование и электронная цифровая подпись

Для реализации абонентского шифрования (АШ) и электрон­ной цифровой подписи (ЭЦП) может применяться отдельная про­грамма или программно-аппаратная система, запускаемая непо­средственно перед подготовкой документов к передаче или после их приема (автономный вариант). Второй вариант использования АШ и ЭЦП предусматривает включение соответствующих модулей в коммуникационные программы. В обоих вариантах система вы­полняет примерно одни и те же функции.

Программы АШ и ЭЦП

К программным средствам абонентского шифрования и элек­тронной цифровой подписи серии Crypton относят:

— программу симметричного шифрования и работы с ключами Crypton Tools;

— программу электронной цифровой подписи Crypton Sign;

— программу Crypton Soft для защиты файлов-документов с помо­щью симметричного шифрования и ЭЦП;

— программу Crypton ArcMail для защиты файлов-документов с по­мощью асимметричного шифрования и ЭЦП.

Программа шифрования и работы с ключами Crypton Tools. Программа Crypton Tools предназначена для выполнения операций шифрования и генерации ключей. Программа совместима «сверху вниз» с ранее поставлявшимся ба­зовым программным обеспечением-программами CRTOOLS, CRMNG, CR ВАТ. Функции шифрования реализованы в соответствии со стандартом ГОСТ 28147-87. Для управления программой пользователю предоставляется интерфейс, похожий на интерфейс Norton Commander.

Шифрование файлов. В данной системе в качестве ключей могут использоваться:

— главный ключ;

— пароль;

— ключ пользователя;

— сетевой ключ.

Долговременным элементом ключевой системы алгоритма ГОСТ 28147-89 является узел замены (УЗ), который обычно хра­нится в файле на ключевой дискете и является первым ключевым элементом, вводимым в устройство шифрования при инициализа­ции. Все компьютеры, между которыми предполагается обмен за­шифрованной информацией (например, локальная сеть), должны использовать один и тот же УЗ, так как несоответствие узлов замены приведет к невозможности расшифрования файлов с другой машины. УЗ создается администратором.

Читайте также:  Авторизация на портале Госуслуг с помощью Рутокен ЭЦП / Блог компании «Актив» / Хабр

Главный ключ (ГК) представляет собой секретный ключ, ис­пользуемый для шифрования других ключей. ГК может быть за­шифрован на пароле. ГК создается администратором.

Пароль-последовательность символов, вводимых с клавиа­туры. Пароль защищает ключи от несанкционированного исполь­зования в случае их хищения или потери. Максимальная длина пароля для ключей шифрования — 37 символов, минимальная дли­на-4 символа. Длина пароля определяет стойкость системы. По­этому рекомендуется использовать длинные пароли с неповторяющимися символами.

Ключ пользователя (ПК)-секретный ключ, используемый для шифрования файлов и других ключей. Создается пользователем и защищает его данные от посторонних лиц, включая админист­ратора.

Сетевой ключ — секретный ключ, используемый для шифрова­ния файлов с целью передачи их между узлами «криптографиче­ской» сети.

Все узлы сети нумеруются. Для каждого узла, с которым пла­нируется обмен информацией, необходимо иметь свой сетевой ключ.

Для обмена зашифрованной информацией между N узлами необходимо N»(N-1) ключей (каждый узел с каждым). Эти ключи можно разместить всетевой таблице, которая представляет со­бой таблицу-матрицу. В заголовках строк и столбцов этой табли­цы-матрицы представлены номера узлов, а в ячейках таблицы хранятся ключи. Эта таблица-матрица симметрична, т.е. ключ для передачи от узла А к узлу Б (сетевой ключ А-Б) равен сетевому ключу Б-А.

Из полной сетевой таблицы можно для каждого из узлов сформировать сетевой набор ключей для связи с другими узлами. Такой сетевой набор представляет собой одну из строк таблицы. Сетевой набор хранится в файле NNNNN-SYS в каталоге сетевых ключей, где NNNNN-номер данного узла. Он всегда зашифрован на ключе сетевого набора (КСН), хранящемся в файле NNNNN.KEY в каталоге сетевых ключей. КСН получают вместе с сетевым набором от администратора криптографической сети.

Для обеспечения защиты системы шифрования ГОСТ 28147-89 от навязывания ложных данных применяется имитовставка (ими- топриставка).Имитовставка представляет собой отрезок инфор­мации фиксированной длины, получаемый из открытых данных и ключа. Имитовставка создается при зашифровании данных и до­бавляется к ним. При расшифровании данных также вычисляется имитовставка и сравнивается с хранимой. В случае несовпадения можно выделить следующие причины:

— изменен УЗ;

— изменен ключ, на котором были зашифрованы данные;

— изменены зашифрованные данные;

— если при зашифровании использовался пароль, то при расшиф­ровании он был неверно введен;

— неисправно устройство шифрования.

Шифрование файлов может проходить по двум схемам:

— архивное шифрование файлов (обмен которыми не предполага­ется);

— шифрование файлов для передачи в криптографической сети.

Архивное шифрование файлов. При архивном шифровании файлов сначала генерируется так называемый файловый (или се­ансовый) ключ-последовательность из 256 бит, получаемая с датчика случайных чисел устройства шифрования. Вся информа­ция, содержащаяся в файле, шифруется на данном файловом ключе. Поскольку расшифрование файла без этого файлового ключа невозможно, то он записывается в зашифрованный файл. При этом файловый ключ шифруется на ключах, указанных поль­зователем, с вычислением имитоприставки. Применение для шиф­рования файлового ключа позволяет увеличить криптографиче­скую устойчивость реализованного механизма шифрования, а так­же существенно ускорить операцию перешифрования, поскольку исчезает необходимость осуществлять перешифрование всего файла, достаточно лишь перешифровать файловый ключ.

Шифрование файлов для передачи в криптографической се­ти. При шифровании файлов для передачи в криптографической сети файл данных, передаваемый узлом А узлу Б, зашифровыва­ется на файловом (сеансовом) ключе. Файловый ключ создается автоматически при зашифровании файла данных и передается вместе с ним. Так как файловый ключ не может передаваться в открытом виде, то он зашифровывается на сетевом ключе А-Б. Этот ключ узел А берет из своего сетевого набора. Сетевой набор узла А зашифрован на ключе сетевого набора узла А, который, в свою очередь, тоже может быть зашифрован на каком-либо ключе узла А (как правило, ГК). Узел Б по информации, заключенной в зашифрованном файле, понимает, что файл пришел от узла А.

Используя свои ключи, узел Б сначала расшифровывает свой КСН. Затем, используя КСН, узел Б расшифровывает свой набор и достает из него сетевой ключ А-Б. Так как этот сетевой ключ сов­падает с тем сетевым ключом, который был использован узлом А для зашифрования, узел Б может расшифровать файловый ключ, пришедший вместе с файлом. Наконец, с помощью файлового ключа расшифровывается пришедший файл.

Перешифрование информации выполняется следующим об­разом. Из зашифрованного файла извлекается зашифрованный файловый ключ и расшифровывается. Затем производится его зашифрование на новой ключевой информации, предоставляемой пользователем. При этом файловый ключ (в расшифрованном ви­де) остается неизменным, что позволяет оставить тело зашифро­ванного файла без изменений. В результате получается, что перешифрование файла — операция значительно более быстрая, чем шифрование или расшифрование файла.

Для обеспечения целостности информации при расшифро­вании файловых ключей производится проверка имитоприставки. Если она не совпала с хранимой в файле, то система выдает со­общение об ошибке. Следует отметить, что при расшифровании информации самих файлов проверка целостности данных не про­изводится. Если зашифрованная информация была изменена, ни­каких диагностических сообщений выдаваться не будет, но полу­чаемый после расшифрования файл не будет эквивалентен ис­ходному.

При зашифровании информации на пароле, а также при рас­шифровании ключей и файлов, зашифрованных с использованием пароля, производится запрос пароля. Если пароль запрашивается для зашифрования объекта (файла или ключа), то пользователю предоставляется запрос на ввод пароля. При этом пароль необхо­димо ввести дважды, что уменьшает вероятность опечатки. Если пароль запрашивается для расшифрования объекта, то пользова­телю предоставляется диалог запроса пароля с одним полем вво­да. При неправильном вводе пароля выдается сообщение о не­верном пароле, и запрос пароля повторяется до тех пор, пока пользователь не введет верный пароль или откажется от ввода пароля.

В случае операций над несколькими файлами последний вве­денный пароль запоминается в оперативной памяти (ОП) до окон­чания операции, что избавляет от необходимости вводить один и тот же пароль для каждого файла. По окончании операции пароль стирается из ОП.

Зашифрование файлов производится системой в диалоговом режиме работы с пользователем. При этом пользователь должен выбрать (отметить) файлы, подлежащие шифрованию, затем вы­брать ключевую систему шифрования, ввести пароль и ключ поль­зователя. При выполнении операции зашифрования для каждого выбранного файла будут последовательно выполняться следую­щие действия:

— генерируется файловый ключ;

— файл шифруется на данном файловом ключе;

— файловый ключ шифруется на указанной пользователем ключе­вой системе с вычислением имитоприставки;

— в файл записывается информация, необходимая для последую­щего расшифрования: старое имя файла, имена ключей и т.д.

Расшифрование файлов производится аналогичным образом в диалоговом режиме работы системы с пользователем. Система расшифровывает считанный файловый ключ. Если при этом необ­ходим пароль, он запрашивается у пользователя. При помощи восстановленного файлового ключа зашифрованная информация расшифровывается и записывается в файл с тем же именем, что и до зашифрования.

Создание ключей шифрования. Программа Crypton Tools по­зволяет выполнить следующие операции:

— генерацию узла замены;

— генерацию главного ключа;

— смену пароля ключа;

— генерацию ключа пользователя;

— генерацию сетевой таблицы;

— генерацию сетевого набора;

— перешифрование ключей шифрования;

— создание ключевой дискеты.

Указанные действия с ключами осуществляются системой в диалоге с пользователем. Пользователь должен ввести в диалого­вом окне информацию, описывающую ключ или набор ключей.

Следует отметить, что смену УЗ рекомендуется проводить только в самых экстренных случаях. Смена УЗ требует расшифро­вания всей зашифрованной на скомпрометированном УЗ инфор­мации и зашифрования с новым УЗ. Поскольку УЗ должен быть одинаков для всех абонентов, ведущих обмен зашифрованной информацией, эту работу придется проделать всем пользователям защищаемого контура. Поэтому рекомендуется проводить эту операцию только один раз при установке системы.

При создании главного ключа необходимо использовать па­роль. Этот пароль применяется для закрытия главного ключа.

Для генерации ключей используется датчик случайных чисел устройства шифрования.

Программа электронной цифровой подписи Crypton Sign.

Программа Crypton Sign предназначена для формирования и про­верки электронной цифровой подписи электронных документов, которая обеспечивает установление авторства электронных доку­ментов и проверку целостности электронных документов. В про­грамме Crypton Signреализованы алгоритмы цифровой подписи и функции хэширования ГОСТ Р 34.10-94, ГОСТ Р 34.11-94.

Электронная цифровая подпись представляет собой последо­вательность байтов, помещаемую в конец подписываемого доку­мента (файла) или в отдельный файл. ЭЦП формируется на осно­вании содержимого документа, секретного ключа и пароля лица, подписывающего документ (файл). Для каждого секретного ключа создается открытый ключ для проверки подписи.

Подписывание документа-файла состоит в вычислении с по­мощью программы по содержимому файла некоторого большого числа (512 или 1024 бита), которое и является его электронной подписью. Важной особенностью электронной подписи является невозможность ее подделывания без секретного ключа. Программа проверки на основании анализа содержимого до­кумента-файла, электронной подписи и открытого ключа удостове­ряет, что подпись вычислена именно из этого документа-файла конкретной программой подписывания.

В качестве подписываемого электронного документа в про­грамме может использоваться любой файл. При необходимости несколько владельцев могут подтвердить достоверность докумен­та, т.е. один документ-файл может содержать несколько подписей. При этом не изменяются ни имя файла, ни его расширение.

В подпись записывается следующая информация:

— дата формирования подписи;

— срок окончания действия открытого и секретного ключей;

— информация о лице, сформировавшем подпись (Ф.И.О., долж­ность, краткое наименование фирмы);

— идентификатор подписавшего (имя файла открытого ключа);

— собственно код ЭЦП.

Электронная цифровая подпись может быть записана также в отдельный файл. Это файл, имеющий имя, соответствующее под­писанному файлу, и расширение sg*. В данном файле хранится вся вышеуказанная информация, а также имя файла, который был подписан. При таком способе простановки ЭЦП исходный файл не изменяется, что может быть полезно в случаях, когда документы- файлы обрабатываются программами пользователя, не допускающими посторонней информации в конце документов.

Генерация случайного кода для создания ключей выполняется аппаратно с помощью одного из УКЗД серии КРИПТОН. Если УКЗД в компьютере нет, случайный код можно получить программно с помощью программы Crypton LITE или генератора случайных чисел.

Для управления программой Crypton Sign пользователю пре­доставляется интерфейс, похожий на интерфейс Norton Commander. Основное меню программы Crypton Sign разделено на две части (панели). В левой части меню расположены наименования команд, выполняемых программой, в правой части — перечень файлов и раздел, в котором находятся эти файлы. Для выбора команд и файлов используется маркер.

Для генерации ключей достаточно выполнить команду «Соз­дать ключи».

Для подписи файла необходимо выбрать сам подписываемый файл и секретный ключ, а затем выполнить команду «Поставить подпись».

Две команды-«Показать подпись» и «Проверить подпись» ис­пользуются для проверки наличия и подлинности подписей у файла, а также получения дополнительной информации о подписи. Для выполнения данных команд следует выбрать проверяемые файлы и указать каталог с открытыми ключами.

При необходимости можно удалить последнюю подпись, груп­пу последних подписей или все подписи у файла. Для этого в про­грамме используется команда «Удалить подпись». Для ее выполне­ния должны быть указаны документы-файлы, у которых удаляются Подписи.

Пакетное шифрование

Шифрование пакетов осуществляется коммуникационными программами на сетевом уровне (IP-протокол) семиуровневой мо­дели OSI/ISQ непосредственно перед передачей пакетов сетевому интерфейсу (канальному уровню). Коммуникационные программы могут располагаться как на абонентском месте клиента, так и на сервере, в центре коммутации пакетов и т.д. Ключевым моментом является защита целостности коммуникационных программ от возможного их обхода. Эта защита определяется надежностью применяемой системы защиты от НСД. Вторым не менее важным моментом является недосягаемость ключей шифрования и ЭЦП. Это можно обеспечить только с помощью аппаратных средств (на­пример, платы серии КРИПТОН).

Шифрование пакетов может быть реализовано в виде отдель­ного устройства — так называемого шифратора IP-пакетов (крипто — маршрутизатора). В простейшем виде последний представляет собой ПК с двумя сетевыми платами. В этом случае надежность криптомаршрутизатора определяется системой защиты от НСД со стороны консоли. В настоящее время надежный криптомаршрути — затор может быть только под управлением DOS или «операцион­ной системы» собственной разработки.

Шифрование пакетов может осуществляться и с помощью коммуникационных программ совместной разработки ОАО «Элвис » и ООО АНКАД:

— Crypton Fort Е Personal Client-средство защиты персональной рабочей станции;

— Crypton Fort Е Corporate Client-средство защиты рабочей стан­ции корпоративной сети;

— Crypton Fort Е Server-средство защиты сервера:

— Crypton Fort Е Branch-защита сегмента локальной сети от несанкционированного доступа из внешней сети.

Два компьютера, имеющих такие коммуникационные модули, могут осуществлять защищенную связь посредством шифрования пакетов по схеме использования открытых ключей в протоколе SKIP. Непосредственно шифрование и генерация случайных последовательностей осуществляются описанными выше УКЗД и их программными эмуляторами.

Использование пакетного ключа является дополнительной мерой защиты по двум причинам:

— во-первых, долговременный секрет не должен быть скомпроме­тирован и не следует давать вероятному противнику материал для статистического криптоанализа в виде большого количества информации, защищенной соответствующим ключом;

— во-вторых, частая смена пакетных ключей повышает защищен­ность обмена, так как если пакетный ключ и будет скомпромети­рован, то ущерб будет нанесен лишь небольшой группе пакетов, защищенных при помощи данного пакетного ключа.

Последовательность операций по обработке исходного IP-пакета. Исходный пакет защищается пакет­ным ключом и помещается внутрь нового пакета, снабженного SKIP — заголовком. Пакетный ключ включается в заголовок получен­ного SKIP — пакета. Затем этот SKIP-пакет включается (инкапсули­руется) в новый IP-пакет. Отметим, что заголовок нового IP-пакета может не совпадать с заголовком исходного IP-пакета. В частно­сти, может быть изменена адресная информация, содержащаяся в исходном пакете. Такая подмена адресов является самостоятель­ным аспектом защиты информационных систем и называется ад­ресной векторизацией.

По всему новому пакету (за исключением динамически ме­няющихся полей заголовка IP-пакета) с использованием пакетного ключа рассчитывается контрольная криптосумма. Поскольку па­кетный ключ защищен при помощи разделяемого секрета восстановить его и корректно рассчитать криптосумму могут только два участника защищенного обмена. Тем самым обеспечивается ау­тентификация информации как на уровне узла сети (достоверно известен 1Р-адрес отправителя), так и, возможно, на уровне поль­зователя, идентификатор которого (однозначно соответствующий секретному ключу) включается в SKIP — заголовок. Сформирован­ный в результате перечисленных операций новый IР-пакет отправ­ляется получателю, который в обратном порядке производит его обработку: вычисляет разделяемый секрет, восстанавливает па­кетный ключ, проверяет контрольную криптосумму, восстанавли­вает и извлекает из SKIP -пакета исходный IР-пакет.

Поскольку SKIP — защищенный пакет является стандартным IР-пакетом, все промежуточное сетевое оборудование между от­правителем и получателем стандартным образом маршрутизует этот пакет до его доставки узлу-получателю.

Аутентификация

Реализуется в коммуникационном модуле. Один из вариантов аутентификации, использующий симметричную криптографию, вы­глядит следующим образом.

— Шифрование и генерация случайных чисел могут осуществлять­ся с помощью платы серии КРИПТОН.

— Оба абонента владеют секретным ключом Sk.

— Абонент А генерирует случайное число Dа и посылает его або­ненту В.

— Абонент В шифрует принятое число Dа на ключе Sk (результат обозначим через Dа(Sk)), генерирует свое случайное число Db и посылает абоненту А числа Db и Dа(Sk).

— Абонент А шифрует Dа и сравнивает результат шифрования Dа(Sk) с полученным числом. Если они совпадают, значит, это абонент В. Далее абонент А шифрует число Db и посылает або­ненту В число Db(Sk) совместно с информацией.

— Абонент В шифрует Db и сравнивает Db(Sk) с полученным чис­лом. Если числа совпадают, значит, абонент В связан с абонен­том А и может передавать ему информацию.

§

Существует масса способов обманом получить необходимую конфиденциальную информацию другого человека, группы лиц, предприятия, компании и других возможных образований. При этом совсем не обязательно владеть навыками взлома компьютерных систем, иметь программы для подбора паролей или выведения из строя защитного ПО. Любую информацию можно получить посредством воздействия на самого пользователя или сотрудника, вводя его в состояние, при котором он сам выдаст всю необходимую информацию. Такой метод получения информации называется социальным инжинирингом

Социальная инженерия как способ НСД — метод несанкционированного доступа к информационным ресурсам основанный на особенностях психологии человека. Основной целью социальных инженеров, как и других хакеров и взломщиков, является получение доступа к защищенным системам с целью кражи информации, паролей, данных о кредитных картах и т.п. Основным отличием от стандартной кибер-атаки является то, что в данном случае в роли объекта атаки выбирается не машина, а ее оператор. Именно поэтому все методы и техники социальных инженеров основываются на использовании слабостей человеческого фактора, что считается крайне разрушительным, так как злоумышленник получает информацию, например, с помощью обычного телефонного разговора или путем проникновения в организацию под видом ее служащего.

2 Принципы и техники социальной инженерии

Существует несколько распространенных техник и видов атак, которыми пользуются социальные инженеры. Все эти техники основаны на особенностях принятия людьми решений, известных как когнитивные предубеждения — склонности людей искать или интерпретировать информацию таким образом, чтобы подтверждать свои предубеждения. Эти предрассудки используются в различных комбинациях, с целью создания наиболее подходящей стратегии обмана в каждом конкретном случае. Но общей чертой всех этих методов является введение в заблуждение, с целью заставить человека совершить какое-либо действие, которое не выгодно ему и необходимо социальному инженеру. Для достижения поставленного результата, злоумышленник использует целый ряд всевозможных тактик: выдача себя за другое лицо, отвлечение внимания, нагнетание психологического напряжения и т.д. Конечные цели обмана так же могут быть весьма разнообразными.

Техники социальной инженерии:

¾ Претекстинг — это набор действий, проведенный по определенному, заранее готовому сценарию (претексту). Данная техника предполагает использование голосовых средств, таких как телефон, Skype и т.п. для получения нужной информации. Как правило, представляясь третьим лицом или притворяясь, что кто-то нуждается в помощи, злоумышленник просит жертву сообщить пароль или авторизоваться на фишинговой веб-странице, тем самым заставляя совершить необходимое действие или предоставить определенную информацию. В большинстве случаев данная техника требует каких-либо изначальных данных о объекте атаки (например, персональных данных: даты рождения, номера телефона, номеров счетов и др.)

¾ Фишинг — пожалуй, это самая популярная схема социальной инженерии на сегодняшний день. Наиболее ярким примером фишинговой атаки может служить сообщение, отправленное жертве по электронной почте и подделанное под официальное письмо — от банка или платёжной системы — требующее проверки определённой информации или совершения определённых действий. Причины могут называться самые различные. Это может быть утеря данных, поломка в системе и прочее.

¾ Квид про кво – «услуга за услугу». Данный вид атаки подразумевает обращение злоумышленника в компанию по корпоративному телефону или электронной почте. Зачастую злоумышленник представляется сотрудником технической поддержки, который сообщает о возникновении технических проблем на рабочем месте сотрудника и предлагает помощь в их устранении. В процессе «решения» технических проблем, злоумышленник вынуждает цель атаки совершать действия, позволяющие атакующему запускать команды или устанавливать различное программное обеспечение на компьютере «жертвы»

¾ Троянский конь — вредоносная программа, используемая злоумышленником для сбора, разрушения или модификации информации, нарушения работоспособности компьютера или использования ресурсов пользователя в своих целях. Данная техника зачастую эксплуатирует любопытство, либо другие эмоции цели.

¾ Сбор информации из открытых источников – относительно новый способ получения информации, при котором информацию собирают из любых открытых источников, чаще всего – социальных сетей. Такие сайты содержат огромное количество данных, которые люди и не пытаются скрыть. Как правило, пользователи не уделяют должного внимания вопросам безопасности, оставляя в свободном доступе данные и сведения, которые могут быть использованы злоумышленником.

¾ «Дорожное яблоко» — метод атаки представляет собой адаптацию троянского коня, и состоит в использовании физических носителей. Злоумышленник подбрасывает «инфицированные» носители информации в местах общего доступа, где эти носители могут быть легко найдены, такими как туалеты, парковки, столовые, или на рабочем месте атакуемого сотрудника. Носители оформляются как официальные для компании, которую атакуют, или сопровождаются подписью, призванной вызвать любопытство.

Обратная социальная инженерия – случай, когда жертва сама предлагает злоумышленнику нужную ему информацию. Это может показаться абсурдным, но на самом деле лица, обладающие авторитетом в технической или социальной сфере, часто получают идентификаторы и пароли пользователей и другую важную личную информацию просто потому, что никто не сомневается в их порядочности. Например, сотрудники службы поддержки никогда не спрашивают у пользователей идентификатор или пароль; им не нужна эта информация для решения проблем. Однако, многие пользователи ради скорейшего устранения проблем добровольно сообщают эти конфиденциальные сведения. Получается, что злоумышленнику даже не нужно спрашивать об этом.

Киллбуллинг как средство социального инжиниринга

Киллбуллинг – техника социальной инженерии, при которой оказывается значительное давление на психическое состояние «жертвы». Чаще всего желаемый для злоумышленника результат достигается с помощью угроз, насмешек, оскорблений и других действий, которые являются обидными или неприятными для человека. Этот способ почти не требует от злоумышленника наличия каких-либо знаний об объекте атаки, например, персональных данных, месте работы, круге интересов и т.д. Необходимо наличие максимально возможного количества способов связи с объектом, таких как адреса в социальных сетях, номера телефонов, личный контакт и т.д.

Читайте также:  Привет из прошлого: кто, что и зачем пишет в журнале учета СКЗИ / Блог компании Ростелеком-Солар / Хабр

Весь процесс использования Киллбуллинга можно условно разделить на два этапа:

¾ Преследование объекта атаки и оказание отрицательного воздействия на его психоэмоциональное состояние.

¾ Убеждение объекта в совершении какого-либо действия, выгодного для злоумышленника.

При этом чем большее количество человек занимается киллбуллингом в отношении одной «жертвы» одновременно, тем выше оказываемое на нее воздействие и тем быстрее объект будет в состоянии добровольно совершить практически любое действие, требуемое нарушителями.

Стоит отметить, что киллбуллинг – довольно протяженное занятие и в среднем результат можно получить только по прошествии некоторого времени от начала использования этого средства.

Разрушительное воздействие киллбуллинга на состояние человека

При использовании этой техники социальной инженерии следует учитывать, что давление на психическое здоровье человека влечет за собой повреждение психики этого человека, и чем сильнее давление, тем значительнее разрушения. Особенно серьезно это сказывается на людях с неустойчивой психикой, наличием психических заболеваний или отклонений. Применение киллбуллинга может вызывать целый спектр вариантов негативной реакции объекта, начиная от подавленного состояния и заканчивая психическими расстройствами, появлением заболеваний или усугублением уже имеющихся. Не следует забывать, что в некоторых случаях, когда давление на психику крайне велико и человек постоянно находится в состоянии подавленности, взволнованности или подобных депрессивных состояниях, может возникнуть большое депрессивное расстройство, в некоторых особо тяжелых случаях приводящее к самоповреждению или суициду.

В качестве примера данного развития событий можно привести отрывок из книги Олега Дивова «Другие Действия»:

«Ни Крутой, ни Мурзик не могли там (в чате) носу показать, чтобы их не облили помоями. «Ты моральный урод, ты моральный урод, ты моральный урод, ты моральный урод…» — читал Крутой по десять раз на дню. Он менял ники — это не помогало. Он переместился на другие сайты – его загадочным образом находили там и долбили, долбили, долбили. Он метался по Сети, но нигде не мог нормально просуществовать и часа. Иногда он просто читал молча, но вдруг к нему обращались по настоящему имени. «Ты моральный урод, ты моральный урод, ты моральный урод…» Это была первая фаза Других Действий — давление на психику. Просто_Вася как раз собирался объявить вторую фазу — убеждение морального урода исправиться и загладить вину, — когда моральный урод прыгнул в окно. Крутой жил на четвертом этаже. Он не разбился насмерть, но получил такую страшную травму позвоночника, что превратился в овощ».

Как видно из приведенного примера, чрезмерное использование киллбуллинга привело к усугублению психического здоровья человека и последующей попытке суицида. Использование киллбуллинга должно быть максимально контролируемым и продуманным во избежание особо серьезных последствий.

Способы защиты от социальной инженерии

Для проведения своих атак, злоумышленники, применяющие техники социальной инженерии, зачастую эксплуатируют доверчивость, лень, любезность и даже энтузиазм пользователей и сотрудников организаций. Защититься от таких атак непросто, поскольку их жертвы могут не подозревать, что их обманули. Злоумышленники, использующие методы социальной инженерии, преследуют, в общем, такие же цели, что и любые другие злоумышленники: им нужны деньги, информация или ИТ-ресурсы компании-жертвы. Для защиты от таких атак, нужно изучить их разновидности, понять, что нужно злоумышленнику, и оценить ущерб, который может быть причинен организации. Обладая всей этой информацией, можно интегрировать в политику безопасности необходимые меры защиты.

§

Система контроля и управления доступом (СКУД) — это совокупность программных и технических средств, а также организационно-методических мероприятий, с помощью которых решается задача контроля и управления посещением охраняемого объекта.

Современные системы контроля доступа призваны решать три основные задачи:

Организация контроля перемещения персонала.

Правильная организация труда. Каждому пользователю достаточно выдать один ключ (“Touch Memory” или карту «Proximity») для его идентификации системой охраны объекта. Исключение возможности праздного шатания сотрудников.

Организация учета.

Создание системы учета рабочего времени (на основе анализа времени прихода/ухода сотрудника с территории предприятия или рабочего места). Контроль места нахождения сотрудника на объекте с точностью до зоны доступа.

Организация охраны предприятия.

Интеграция СКД с системой охранно-пожарной сигнализации для комплексного решения задач безопасности. Обеспечение реакции охранной составляющей системы на попытки несанкционированного доступа, взлома дверей и т.д. Возможность автоматической постановки/снятия с охраны помещений по факту прохода в зону доступа сотрудника. Предоставление свободного доступа в случае возникновения пожара.

Типовые режимы работы СКУД

Стандартный режим прохода. У каждой точки доступа на предприятии, подлежащей контролю, устанавливается контроллер доступа и считывающие устройства. Для того чтобы сотрудники имели возможность прохода через точки доступа, каждому из них выдаётся уникальный идентификатор пользователя, также в качестве идентификатора может выступать биометрическая информация. Идентификатор заранее заносится в память контроллеров доступа или сетевого контроллера, где ему назначаются уровни доступа. Если система управляется программным обеспечением (АРМ), то обычно в базу данных АРМа также заносится часть персональных данных сотрудника. При предъявлении идентификатора прибор или сетевой контроллер принимают решение о предоставлении или непредоставлении доступа сотруднику. Все факты проходов через точки доступа, а также связанные с ними события сохраняются в памяти контроллеров доступа, а также предаются на ПК и заносятся в базу данных АРМа. Впоследствии на основе этих событий можно получить разнообразные отчёты, рассчитывать отработанное сотрудниками время и т. п.

Запрет повторного прохода (правило antipassback). Используется для того, чтобы одним идентификатором нельзя было воспользоваться повторно для входа в какую-либо зону доступа, предварительно не выйдя из неё. Реакция контроллера доступа на нарушение правила antipassback зависит от установленного режима antipassback для уровня доступа рассматриваемого идентификатора. Может использоваться один из следующих режимов:

¾ Строгий — система запрещает повторный проход в зону доступа вплоть до выхода;

¾ Временной — в течение указанного времени система запрещает повторный проход в зону доступа вплоть до выхода;

¾ Мягкий — система не запретит доступ, но в журнале событий будет зафиксирован факт нарушения правила antipassback.

Правило запрета повторного прохода может использоваться только для дверей с контролем направления прохода. Поддерживается только контроллером «С2000-2».

Термины и определения:

Контроллер доступа – это устройство, предназначенное для управления доступом через контролируемые точки доступа путём анализа считанных с помощью считывателей идентификаторов пользователей (проверки прав). Контроллеры доступа могут сами принимать решения предоставлять или не предоставлять доступ в случае, если идентификаторы пользователей хранятся в памяти контроллера (в таком случае говорят, что используется локальный доступ). Также идентификаторы пользователей могут быть записаны только в сетевом контроллере (в базе данных программного обеспечения). В этом случае контроллер доступа выполняет функции ретранслятора – отправляет код сетевому контроллеру и получает от него решение о предоставлении или не предоставлении доступа (в таком случае говорят о централизованном доступе). Контроллеры доступа управляют преграждающими устройствами с помощью контактов реле;

Идентификаторы – уникальные признаки пользователей СКУД. Идентификатором может быть электронный ключ Touch Memory, бесконтактная Proxy-карта, радио-брелок, PIN-код, биометрические данные (отпечаток пальца, ладони, рисунок радужной оболочки или сетчатки глаза, геометрические характеристики лица и т.п.). В СКУД каждому идентификатору присваиваются определённые полномочия, в соответствие с которыми контроллерами доступа разрешается или запрещается проход;

Считыватели – устройства, предназначенные для считывания кода идентификатора пользователя и передачи его контроллеру доступа;

Точка доступа – логический объект СКУД, фактически представляет собой физическую преграду, оборудованную контроллером доступа и считывателем. Точкой доступа может являться дверь, калитка, турникет, шлагбаум, шлюз, и т.п. Точки доступа, могут работать в двух режимах: с контролем и без контроля направления прохода. Точки доступа с контролем направления прохода могут быть как двунаправленными (оборудованными двумя считывателями), так и однонаправленными (с одним считывателем, без возможности прохода в обратном направлении). Выход через точки доступа без контроля направления прохода чаще всего осуществляется по кнопке.

Зона доступа – логический объект СКУД. Зоны доступа – это участки, на которые разбита территория охраняемого предприятия. На границах зон доступа всегда располагаются точки доступа с направлением прохода. Зоны доступа настраиваются для точек доступа в случае, если в системе используются такие функции, как расчёт рабочего времени и запрет повторного прохода (правило antipassback);

Уровень доступа – индивидуальные права доступа, которые определяют правила прохода через точки и присутствия в зонах доступа, назначенные идентификатору пользователя. На основе этих прав контроллеры доступа (или сетевые контроллеры) принимают решение о предоставлении или не предоставлении доступа;

Окна времени – совокупность временных интервалов, в течение которых разрешён проход. Временные интервалы могут устанавливаться для каждой точки или зоны доступа индивидуально;

Программное обеспечение – компонент системы контроля и управления доступом. С помощью программного обеспечения производится конфигурирование контроллеров СКУД, в том числе и прописывание в них идентификаторов пользователей, уровней доступа и окон времени. Также программное обеспечение используется для реализации таких дополнительных функций, как ретрансляция событий о проходах для реализации запрета повторного прохода, мониторинг в режиме реального времени за сотрудниками и посетителями охраняемого объекта, протоколирование (и накопление в базе данных системы) событий СКУД, учёт отработанного времени сотрудниками объекта, построение различных отчётов по событиям СКУД.

Доступ по правилу двух (или более) лиц. Для контроля доступа в зоны доступа с повышенными требованиями безопасности может использоваться режим прохода по «правилу двух (трёх) лиц», имеющих согласованные уровни доступа. При поднесении первого идентификатора контроллер доступа переходит в режим ожидания второго идентификатора. Если предъявленный после этого ключ имеет несогласованный уровень доступа, то контроллер запретит проход. Если же уровень доступа будет согласованный, доступ будет предоставлен (в случае использования доступа по правилу трёх лиц эта процедура повторится и для третьего ключа). Такой режим прохода является параметром доступа для идентификатора и настраивается независимо для каждого направления прохода (для каждого считывателя) в уровне доступа. Данная функция поддерживается только контроллером «С2000-2».

Доступ с подтверждением. Если предполагается вход в охраняемую зону доступа не всех лиц, участвующих в процедуре доступа по правилу двух (трёх) лиц» (например, сотрудник охраны подтверждает доступ другого служащего), то для уровня доступа таких лиц устанавливается режим прохода «Подтверждающий». Самостоятельный доступ по ключу с таким режимом прохода невозможен, а при проходе по правилу двух (трёх) лиц по такому ключу не сформируются сообщения «Доступ предоставлен» и «Проход». Данная функция поддерживается только контроллером «С2000-2». В приборах «С2000-2», начиная с версии 2.0х, также поддерживается возможность организации подтверждения не только дополнительным идентификатором, но и специальной кнопкой.

Двойная идентификация. Каждый из считывателей контроллера может работать в режиме, когда для идентификации требуется предъявление двух идентификаторов (например, Proxy-карта и PIN-код). Данный режим может быть включен независимо для каждого считывателя. При двойной идентификации процедура предоставления доступа начинается с предоставления основного кода (первого идентификатора). Если ключ опознан и нет нарушений режима доступа, контроллер переходит в режим ожидания дополнительного кода. Если будет предъявлен дополнительный код, то процедура идентификации считается успешно завершённой. Также прибор может быть временно переведен в режим «Открытого» или «Закрытого» доступа.

Закрытый режим доступа. В этом случае запрещены все виды доступа через управляемую точку. Прибор может быть переведен в этот режим централизованной командой по RS-485 интерфейсу, по факту предъявления ключа, имеющего тип «Закрывающий», либо при взятии под охрану блокирующих доступ ШС. Режим может быть использован для временного блокирования службой безопасности доступа в определенные помещения объекта.

Открытый режим доступа. Через управляемую точку производится свободный проход без предъявления идентификаторов. В режиме «Доступ открыт» контроллер выдает открывающее воздействие на соответствующее реле постоянно (реле данного направления либо непрерывно включено, либо непрерывно выключено), поэтому этот режим доступа в общем случае не может применяться для некоторых видов запорных устройств, например, таких как электромагнитные защелки. Прибор может быть переведен в этот режим централизованной командой по RS-485 интерфейсу, по факту предъявления ключа, имеющего тип «Открывающий». В приборах «С2000-2», начиная с версии 2.0х, введена возможность полноценного открытия свободного доступа при использовании электромеханических защёлок, которые открываются коротким импульсом и переходят в состояние «закрыто» только после открывания и последующего закрывания двери. В этом случае, при включении режима «Доступ открыт», реле будет включаться кратковременно (на тоже время, что и при предоставлении доступа) при каждом закрытии двери и замок будет все время открыт. Также новое исполнение приборов «С2000-2» может быть переведено в режим открытого доступа по внешнему релейному сигналу, фиксируемому ШС прибора.

В приборах «С2000-2» и «С2000-4» настраиваются следующие важные параметры:

Вид интерфейса подключенных считывателей — Touch Memory, Wiegand, Aba Track. Данный параметр отвечает за способ передачи кода считанного идентификатора в контроллер.

Датчик прохода — параметр указывает на то, что в контроллере используется датчик прохода. Основное назначение датчика — формирование сообщения «Проход» при срабатывании этой цепи после предоставления доступа. Наличие события «Проход» необходимо для реализации функции antipassback и для корректной работы функции «Учет рабочего времени» в АРМ;

Rонтроль блокировки двери — при открывании двери при проходе на время, превышающее «Тайм-аут блокировки» формируется тревожное сообщение «Дверь заблокирована»;

Контроль взлома — при включении этого параметра при открывании двери без предоставления доступа формируется тревожное сообщение «Дверь взломана»;

Номер зоны доступа — от 0 до 65535. Номер зоны доступа, вход в которую контролируется данным считывателем (65535 — номер зоны доступа не определён — для проходных дверей);

Выключить при открывании двери — досрочное прерывание «открывающей» программы реле при открывании двери (реле отключается после срабатывания датчика прохода). Данную функцию целесообразно включать при использовании электромеханических замков (на которые нет смысла подавать питание, когда дверь уже открыли);

Выключить при закрытии двери — досрочное прерывание «открывающей» программы реле после закрывания двери (реле отключается после восстановления датчика прохода). Целесообразно включать при использовании турникета, когда после проворота турникета можно начинать новую процедуру предоставления доступа. При использовании шлюза данный параметр считается включённым всегда, так как при выходе из шлюза в него нельзя зайти повторно без поднесения идентификатора, а выйти изнутри можно только после нажатия на кнопку выхода;

Реле контроллеров доступа могут работать как на замыкание, так и на размыкание. Тактика работы реле выбирается в зависимости от используемого запорного механизма.

§

Классификация СКУД определена в соответствии с действующимГОСТ Р 51241-2008 «Средства и системы контроля и управления доступом. Классификация. Общие технические требования. Методы испытаний.»

Классификация средств КУД

Средства КУД подразделяют по:

— функциональному назначению устройств;

— функциональным характеристикам;

— устойчивости к НСД.

Средства КУД по функциональному назначению устройств подразделяют на следующие основные средства:

— устройства преграждающие управляемые;

— устройства исполнительные;

— устройства считывающие;

— идентификаторы (ИД);

— средства управления в составе аппаратных устройств и программных средств.

В состав СКУД могут входить другие дополнительные средства: источники электропитания; датчики (извещатели) состояния УПУ; дверные доводчики; световые и звуковые оповещатели; кнопки ручного управления УПУ; устройства преобразования интерфейсов сетей связи; аппаратура передачи данных по различным каналам связи и другие устройства, предназначенные для обеспечения работы СКУД.

В состав СКУД могут входить также аппаратно-программные средства — средства вычислительной техники (СВТ) общего назначения (компьютерное оборудование, оборудование для компьютерных сетей, общее программное обеспечение).

Средства КУД по функциональным характеристикам подразделяют на следующие группы:

УПУ

— по виду перекрытия проема прохода:

— с частичным перекрытием (турникеты, шлагбаумы);

— с полным перекрытием (полноростовые турникеты, специализированные ворота);

— со сплошным перекрытием проема (сплошные двери, ворота);

— с блокированием объекта в проеме (шлюзы, кабины проходные).

УИ

— по способу запирания:

— электромеханические замки;

— электромагнитные замки;

— электромагнитные защелки;

— механизмы привода дверей, ворот.

Идентификаторы и считыватели — по следующим признакам:

— виду используемых идентификационных признаков (идентификаторы и считыватели);

— способу считывания идентификационных признаков (считыватели).

По виду используемых идентификационных признаков идентификаторы и считыватели могут быть:

— механическими — представляют собой элементы конструкции идентификаторов (перфорационные отверстия, элементы механических ключей и т.д.);

— магнитными — представляют собой намагниченные участки поверхности или магнитные элементы идентификатора (карты с магнитной полосой, карты Виганда и т.д.);

— оптическими — представляют собой нанесенные на поверхность или внутри идентификатора метки, имеющие различные оптические характеристики в отраженном или проходящем оптическом излучении (карты со штриховым кодом, голографические метки и т.д.);

— электронными контактными — представляют собой электронный код, записанный в электронной микросхеме идентификатора (дистанционные карты, электронные ключи и т.д.);

— электронными радиочастотными — считывание кода с электронных идентификаторов происходит путем передачи данных по радиоканалу;

— акустическими — представляют собой кодированный акустический сигнал;

— биометрическими (только для считывателей) — представляют собой индивидуальные физические признаки человека (отпечатки пальцев, геометрию ладони, рисунок сетчатки глаза, голос, динамику подписи и т.д.);

— комбинированными — для идентификации используют одновременно несколько идентификационных признаков.

По способу считывания идентификационных признаков считыватели могут быть:

— с ручным вводом — ввод осуществляется с помощью нажатия клавиш, поворотом переключателей или других подобных элементов;

— контактными — ввод происходит при непосредственном, в том числе и при электрическом, контакте между считывателем и идентификатором;

— бесконтактными — считывание кода происходит при поднесении идентификатора на определенное расстояние к считывателю;

— комбинированными.

Классификация средств управления СКУД включает в себя:

— аппаратные средства (устройства) — контроллеры доступа, приборы приемно-контрольные доступа (ППКД);

— программные средства — программное обеспечение СКУД.

Классификация СКУД

СКУД классифицируют по:

— способу управления;

— числу контролируемых точек доступа;

— функциональным характеристикам;

— уровню защищенности системы от несанкционированного доступа к информации.

По способу управления СКУД подразделяют на:

— автономные — для управления одним или несколькими УПУ без передачи информации на центральное устройство управления и контроля со стороны оператора;

— централизованные (сетевые) — для управления УПУ с обменом информацией с центральным пультом и контролем и управлением системой со стороны центрального устройства управления;

— универсальные (сетевые) — включающие в себя функции как автономных, так и сетевых систем, работающие в сетевом режиме под управлением центрального устройства управления и переходящие в автономный режим при возникновении отказов в сетевом оборудовании, центральном устройстве или обрыве связи.

По числу контролируемых точек доступа:

— малой емкости (не более 64 точек);

— средней емкости (от 64 до 256 точек);

— большой емкости (более 256 точек).

По функциональным характеристикам СКУД подразделяют на три класса:

1-й — системы с ограниченными функциями;

2-й — системы с расширенными функциями;

3-й — многофункциональные системы.

Классификация средств и систем КУД по устойчивости к НСД

Классификация средств КУД по устойчивости к НСД основана на устойчивости к разрушающим и неразрушающим воздействиям по уровням устойчивости:

— нормальной;

— повышенной;

— высокой.

УПУ классифицируют по устойчивости к разрушающим воздействиям.

Устойчивость УПУ устанавливают по:

— устойчивости к взлому;

— пулестойкости (только для УПУ со сплошным перекрытием проема);

— устойчивости к взрыву.

Нормальная устойчивость УПУ обеспечивается механической прочностью конструкции без оценки по показателям устойчивости к разрушающим воздействиям.

Для УПУ повышенной и высокой устойчивости со сплошным перекрытием проема (сплошные двери, ворота) и блокированием объекта в проеме (шлюзы, кабины проходные) устанавливается классификация по устойчивости к взлому, взрыву и пулестойкости, как для защитных дверей, по ГОСТ Р 51072.

Классификация устройств исполнительных (замки, защелки) по устойчивости к разрушающим воздействиям в зависимости от конструкции — по ГОСТ Р 52582, ГОСТ Р 51053, ГОСТ 19091, ГОСТ 5089.

По устойчивости к неразрушающим воздействиям средства КУД в зависимости от их функционального назначения классифицируют по следующим показателям:

— устойчивости к вскрытию — для УПУ и исполнительных устройств (замков и запорных механизмов);

— устойчивости к манипулированию;

— устойчивости к наблюдению для считывателей ввода запоминаемого кода (клавиатуры, кодовые переключатели и т.п.);

— устойчивости к копированию (для идентификаторов);

— устойчивости защиты средств вычислительной техники (СВТ) средств управления СКУД от несанкционированного доступа к информации.

Классификацию по устойчивости к неразрушающим воздействиям: вскрытию, манипулированию, наблюдению, копированию устанавливают в стандартах и нормативных документах на средства КУД конкретного типа.

Классификацию СКУД к НСД определяют, как для систем с централизованным управлением по защищенности от несанкционированного доступа к информации ПО СКУД и средств СВТ, входящих в состав сетевых СКУД.

Классификацию систем КУД по защищенности от НСД к информации устанавливают, как для автоматизированных систем, в соответствии с учетом классификации средств СВТ, входящих в состав сетевых СКУД по устойчивости от НСД к информации.

Однако, в коммерческой среде используется классификация по типу установки (генерации) системы контроля доступа.

Типовые структурные решения СКУД

Автономные решения

Для организации одной или нескольких автономных точек доступа на объекте в ИСО «Орион» можно применять специализированный контроллер доступа «С2000-2», приёмно-контрольный прибор «С2000-4» с функционалом контроля доступа и биометрические контроллеры доступа «С2000-BIOAccess-F4», «С2000-BIOAccess-F8», «С2000-BIOAccess-F18» (готовящийся к выпуску прибор). Контроллер доступа «С2000-2» может применяться для организации двунаправленных и однонаправленных точек доступа с контролем и без контроля направления прохода. Для точек доступа, организованных с помощью «С2000-2», можно применять правило antipassback, использовать доступ с подтверждением или по правилу двух (или более) лиц. Приёмно-контрольный прибор с функционалом контроля доступа «С2000-4» и биометрические контроллеры доступа «С2000-BIOAccess-F4», «С2000-BIOAccess-F8», «С2000- BIOAccess-F18» позволяет организовать однонаправленную точку доступа с контролем или без контроля направления прохода.

Читайте также:  Выпуск/генерация и установка КЭП для OS Windows | ITCOM удостоверяющий центр

Контроллер доступа «С2000-2»

Контроллер доступа «С2000-2» имеет возможность работать в нескольких режимах: «две двери на вход», «одна дверь на вход/выход», «турникет», «шлагбаум», «шлюз». В памяти контроллера могут храниться 32768 идентификаторов пользователей; 32768 событий в случае отсутствия связи с сетевым контроллером, 100 временных окон и 100 уровней доступа. Логика работы контроллера зависит от выбранного режима работы. Также у «С2000-2» имеются два шлейфа сигнализации, к которым можно подключить контактные охранные извещатели, сигналы перевода контроллера в режим открытого доступа, сигналы разрешения считывания идентификаторов. В контроллере можно настроить функцию блокировки двери в случае, если какие-либо охранных шлейфов находятся под охраной. Управлять взятием и снятием шлейфов можно с того же считывателя и тем же идентификатором, которым производится управление СКУД. Для обеспечения возможности предоставления доступа широкому кругу лиц, идентификаторы которых затруднительно или невозможно занести в память контроллера (например, их слишком много), при условии, что код всех этих идентификаторов удовлетворяет некоторому известному правилу в «С2000-2» реализованы шаблоны доступа.

Режимы работы «С2000-2»

Две двери на вход

Авторизация в ESIA на сервере терминалов с ЭЦП по ГОСТ-2012 / Хабр

В этом режиме контроллер управляет доступом через две независимые точки доступа, причем предоставление доступа в одном направлении (вход) требует предъявления идентификаторов, а для предоставления доступа в обратном направлении нажимается кнопка «ВЫХОД».

Для каждого считывателя можно настроить двойную идентификацию, доступ по правилу двух (или более) лиц, доступ с подтверждением. Оба считывателя в данном режиме работы прибора работают независимо друг от друга. Т.е. при открытии свободного доступа (или, наоборот, закрытии доступа) на одном считывателе, второй будет функционировать в дежурном режиме, пока на него тоже не подадут соответствующую команду. В общем случае, в таком режиме работы для дверей нельзя задействовать правило antipassback (так как двери не являются в этом случае точками доступа с контролем направления прохода). Однако, если кнопка выход для одной из точек доступа использоваться не будет, для нее может быть настроен режим antipassback.

Одна дверь на вход/выход

Авторизация в ESIA на сервере терминалов с ЭЦП по ГОСТ-2012 / Хабр

Данный режим предназначен для управления доступом через одну дверь, у которой имеется только одно запорное устройство и которая контролируется одним датчиком прохода. Предоставление доступа в обоих направлениях требует предъявления идентификаторов пользователей. Для предоставления доступа также могут использоваться кнопки выхода (например, для открывания двери с поста охраны).

В этом режиме может использоваться правило antipassback, доступ по правилу двух (или более) лиц, доступ с подтверждением, двойная идентификация. В режиме работы «Одна дверь на вход/выход» при открытии свободного доступа считыватели контроллера работают синхронно — при подаче команды на один считыватель прибора второй считыватель автоматически будет переведён в такой же режим.

Турникет

В этом режиме работы контроллер «С2000-2» управляет проходом через электромеханический турникет. Турникеты имеют две цепи управления для каждого направления прохода (обычно эти цепи управления находятся в выносном блоке управления, которым комплектуется турникет). Причём предоставление доступа в каждом из направлений требует предъявления идентификаторов пользователей на считывателях, установленных по обе стороны турникета. Для дистанционного предоставления доступа оператором могут использоваться кнопки «Выход». Если необходимо санкционировать доступ и зарегистрировать проход по идентификатору, которому было бы отказано в доступе в нормальном режиме (не активно окно времени, истек срок действия, нарушен antipassback или идентификатор вообще не занесен в память контроллера) к контроллеру может быть подключена дополнительная кнопка «Разрешение». Кнопка «Разрешение» может применяться для всех режимов работы прибора, кроме режима «Шлюз».

В режиме «Турникет» может использоваться правило antipassback, двойная идентификация, доступ по правилу двух (или более) лиц, доступ с подтверждением. Оба считывателя в данном режиме работы прибора работают независимо друг от друга. Это означает, что при открытии свободного доступа (или, наоборот, закрытии доступа) на одном считывателе, второй будет функционировать в дежурном режиме, пока на него тоже не подадут соответствующую команду.

Авторизация в ESIA на сервере терминалов с ЭЦП по ГОСТ-2012 / Хабр

Шлагбаум

В этом режиме контроллер управляет двунаправленным доступом через одну точку доступа с одним преграждающим устройством — шлагбаумом. Первое реле контроллера управляет открытием (подъёмом) шлагбаума, а второе реле управляет закрытием (опусканием). Обычно реле контроллера подключаются к блоку управления шлагбаумом. Предоставление доступа в обоих направлениях требует предъявления идентификаторов пользователей на считывателях, установленных по обе стороны шлагбаума. Для дистанционного (ручного) управления шлагбаумом могут использоваться кнопки «Въезд» и «Выезд». Датчики проезда автомобиля, помимо регистрации проезда, выполняют функцию защиты от опускания шлагбаума на автомобиль. Пока хотя бы один из датчиков проезда находится в сработавшем состоянии, опускания шлагбаума не будет. По этой причине датчики проезда (обычно используются оптические лучевые датчики) размещаются с обеих сторон шлагбаума с тем расчетом, чтобы любой автомобиль, находящийся под шлагбаумом, приводил к срабатыванию хотя бы одного датчика. Для повышения имитостойкости в шлейфы сигнализации контроллера могут подключаться датчики присутствия автомобиля в зоне считывателя. В этом случае идентификаторы будут восприниматься контроллером только при наличии автомобиля около считывателя. Имеется возможность управления светофорами посредством коммутационных устройств «УК-ВК/06». Для включения/выключения светофоров используются выходы управления светодиодами считывателей. Устройства «УК-ВК/06» могут коммутировать напряжения вплоть до 220 В (переменного тока) и токи до 10А, что позволяет управлять практическими любыми светофорами.

В режиме работы «Шлагбаум» может использоваться правило antipassback, двойная идентификация, доступ по правилу двух (или более) лиц, доступ с подтверждением. В режиме работы «Шлагбаум» при открытии свободного доступа считыватели контроллера работают синхронно — при подаче команды на один считыватель прибора второй считыватель автоматически будет переведён в такой же режим.

Авторизация в ESIA на сервере терминалов с ЭЦП по ГОСТ-2012 / Хабр

Шлюз

В этом режиме контроллер управляет доступом через одну точку доступа, представляющую собой две двери с замкнутым пространством между ними (шлюз), причем обе двери не могут быть открыты одновременно. На входе в шлюз с каждой стороны (вне шлюза) устанавливаются два считывателя. На посту охраны, контролирующем работу шлюза, устанавливается две кнопки «Выход», чтобы охранник мог впустить в шлюз человека без предъявления идентификатора, две кнопки «Подтверждение», чтобы выпустить человека из шлюза, и кнопка «Запрет», для отказа в доступе. Для прохода через первую дверь (вход в шлюз) требуется предъявить идентификатор. Вторая дверь открывается либо автоматически, после закрытия первой двери, либо после нажатия охранником кнопки «Подтверждение» (задается при описании уровня доступа). Если поста охраны не предусмотрено и шлюз функционирует исключительно в автоматическом режиме, то кнопки «Подтверждение» все равно нужно подключить, чтобы у человека была возможность выйти через ту дверь, через которую он зашел, если он передумал или задержался внутри больше отведенного времени. Допустимое время пребывания человека в шлюзе задается параметром «Время на подтверждение доступа». В течение этого времени может быть нажата любая из кнопок «Подтверждение» и откроется соответствующая дверь. Если в течение этого времени не была нажата ни одна из кнопок «Подтверждение», то процедура доступа считается незавершенной, а шлюз свободным. Выпустить человека из шлюза по истечении «Времени на подтверждение доступа» можно только через ту дверь, через которую он зашел, нажав кнопку «Подтверждение» этой двери. С одной стороны, «Время на подтверждение доступа» нужно выбирать достаточным для проведения дополнительной идентификации, с другой стороны, если человек предъявил идентификатор, но не зашел в шлюз, то в течение этого времени не сможет начаться новая процедура доступа. При нажатии на кнопку «ЗАПРЕТ» формируется сообщение «Запрет доступа», никакая дверь не открывается. Выпустить человека из шлюза можно только через ту дверь, через которую он зашел, нажав соответствующую кнопку «ПОДТВЕРЖДЕНИЕ». Если оборудовать шлюз датчиком присутствия и подключить его к входу «BUSY» контроллера, то уже не будет жестких временных рамок – дополнительную идентификацию можно проводить столько, сколько потребуется. Двери обязательно должны быть оборудованы датчиками открывания (параметр «Датчик прохода» считается всегда включенным). В этом режиме работы может использоваться правило antipassback, двойная идентификация, доступ с подтверждением. В режиме работы «Шлюз» при открытии свободного доступа считыватели контроллера работают синхронно — при подаче команды на один считыватель прибора второй считыватель автоматически будет переведён в такой же режим.

Авторизация в ESIA на сервере терминалов с ЭЦП по ГОСТ-2012 / Хабр

Организация сложных точек доступа

При организации сложных точек доступа, если во время доступа через считыватель одного контроллера «С2000-2» вер.2.0х необходимо блокировать доступ через считыватели других таких же контроллеров, их работу можно синхронизировать при помощи сигнала «Busy». В этом случае при предъявлении идентификатора прибор анализирует вход «Busy» и предоставляет доступ, только если вход не активен. С этого момента до регистрации факта прохода контроллер активирует свой выход «Busy», чтобы заблокировать на это время считыватели других контроллеров. Контакт «Busy» является одновременно и входом и выходом прибора. Для синхронизации нескольких «С2000-2» достаточно соединить их контакты «Busy» между собой (а также контакты «GND» если контроллеры питаются от разных источников питания). Кроме того необходимо включить у считывателя параметры «Принимать BUSY» и «Выдавать BUSY», чтобы доступ через данный считыватель блокировался при доступе через считыватели других контроллеров, и наоборот, чтобы при доступе через данный считыватель на время блокировались считыватели других контроллеров. Одновременно сигнал «BUSY» можно использовать для подключения датчика присутствия, если следующую процедуру доступа можно начинать только после освобождения точки доступа.

Авторизация в ESIA на сервере терминалов с ЭЦП по ГОСТ-2012 / Хабр

Такая схема может использоваться, например, при оборудовании въезда на двухуровневую парковку. Один прибор управляет шлагбаумом со стороны улицы, а два других управляют шлагбаумами при въезде на первый и второй уровень. Датчики присутствия контролируют наличие автомобиля на пандусе. Чтобы блокировать одновременный въезд автомобиля на пандус с разных уровней необходимо у одного из считывателей каждого контроллера (того, который разрешает въезд на пандус) установить параметры «Выдавать BUSY» и «Принимать BUSY». У тех считывателей, которые контролируют выезд с пандуса, эти параметры должны быть выключены.

Приёмно-контрольный прибор «С2000-4» с функционалом контроля доступа

Прибор «С2000-4» может управлять доступом через одну точку доступа, причём предоставление доступа в одном направлении требует предъявления идентификаторов пользователей, а для предоставления доступа в обратном направлении нажимается кнопка «Выход». При использовании функционала контроля доступа в приборе для подключения кнопки выхода и датчика прохода используется первый шлейф, а для управления запорным устройством выделяется первое реле. «С2000-4» имеет функционал блокировки доступа, если на охране находится любой (или все) из шлейфов сигнализации прибора. Управлять взятием и снятием шлейфов можно с того же считывателя и тем же идентификатором, которым производится управление СКУД. Так как с помощью прибора можно организовать только однонаправленную точку доступа без контроля направления прохода, настроить правило antipassback для неё нельзя. Прибор поддерживает режим двойной идентификации пользователей.

Прибор поддерживает до 4096 идентификаторов пользователей, а буфер событий прибора рассчитан на 4088 событий. В памяти может храниться до 16 окон времени.

Авторизация в ESIA на сервере терминалов с ЭЦП по ГОСТ-2012 / Хабр

Биометрические контроллеры доступа «С2000-BIOAccess-F18» и «С2000-BIOAccess-MA300»

Так же как прибор «С2000-4», контроллеры «С2000-BIOAccess-MA300» и «С2000-BIOAccess-F18» могут управлять доступом через одну точку доступа, причём предоставление доступа в одном направлении требует предъявления идентификаторов пользователей, а для предоставления доступа в обратном направлении нажимается кнопка «Выход». В качестве основных идентификаторов пользователей используются опечатки пальцев. Также контроллеры оснащены встроенным считывателем proximity-карт и клавиатурой для ввода пароля для предоставления доступа по комбинации двух любых идентификаторов (отпечаток пальца, proximity- карточка, пароль).
Контроллеры соединяются с системой по сети Ethernet (TCP/IP). Так как с помощью прибора можно организовать только однонаправленную точку доступа, настроить правило antipassback’a для неё нельзя.
Приборы поддерживают до 3000 шаблонов отпечатков пальца, а буфер событий прибора рассчитан на 30000 событий.

§

Сетевые решения

Объединение нескольких контроллеров доступа линией RS-485 интерфейса в единую систему может дать СКУД следующие преимущества и новые функции.

Сетевой и зональный antipassback

При наличии сетевого контроллера (пульта «С2000»/«С2000М» или АРМа) сообщения о проходах через точки доступа будут автоматически ретранслироваться всем контроллерам доступа. Таким образом, правило antipassback будет срабатывать для всех точек доступа, впускающих идентификатор в рассматриваемую зону доступа. Описанный режим работы системы называется «Сетевым antipassback».

Правило antipassback можно сделать более строгим, если установить в уровне доступа параметр «Зональный antipassback» («Контроль маршрута»). В этом случае учитываются проходы в любую зону доступа, и если предпринимается попытка прохода через один из считывателей контроллера доступа, то для выполнения правила antipassback требуется, чтобы последний зарегистрированный проход был в ту зону, где расположен данный считыватель. То есть возможно проходить из зоны в зону только по порядку — 0, 1, 2 и в обратной очерёдности.

Интеграция с системами ОПС

Для разблокировки путей эвакуации при пожаре приборы «С2000-2» и «С2000-4» могут быть переведены в режим открытого доступа централизованными командами по RS-485 интерфейсу, поступающими от пультов «С2000М» или АРМа, управляющий пожарной сигнализацией.
Считыватели СКД можно задействовать для удаленного централизованного взятия/снятия шлейфов сигнализации других приборов. При этом одни и те же идентификатор и считыватель могут быть использованы как для локального управления доступом, так и для централизованного управления системой ОПС.

Централизованное конфигурирование. Сбор и обработка событий

Зачастую даже на малых объектах с несколькими точками доступа возникает необходимость добавления новых или редактирования полномочий уже существующих идентификаторов одновременно во многих контроллерах доступа. Наиболее удобно выполнять эти манипуляции централизованно, когда требуется лишь один раз провести процедуру добавления/редактирования, а после чего записать новые данные во все приборы. Кроме того, востребованным является функционал построения отчётов по событиям СКУД, расчёт отработанного времени. Для этих целей применяется программное обеспечение (АРМ).

Авторизация в ESIA на сервере терминалов с ЭЦП по ГОСТ-2012 / Хабр

Дополнительные возможности СКУД при использовании программного обеспечения

В ИСО «Орион» для работы со СКУД используется программное обеспечение: Uprog, BAProg, АРМ «Орион Про».
Программное обеспечение Uprog позволяет бесплатно осуществлять настройку конфигурационных параметров контроллеров доступа «С2000-2» и приборов «С2000-4», а именно:

¾ режим работы, двойную идентификацию, доступ по правилу двух (трёх) лиц, номер контролируемой зоны доступа, вид интерфейса подключенных считывателей, включать/выключать использование датчика прохода, контроль блокировки, таймаут блокировки и т. д.;

¾ запись и редактирование в памяти контроллеров уровней доступа, окон времени и идентификаторов пользователей.

Программное обеспечение BAProg позволяет бесплатно осуществлять настройку аналогичных конфигурационных параметров биометрических контроллеров доступа «С2000-BIOAccess-F18», «С2000-BIOAccess-MA300», .

При использовании Uprog и BAProg нет возможности конфигурировать несколько приборов одновременно. Таким образом, эти программы применяются только при первичной настройке приборов. При последующей эксплуатации системы Uprog и BAProg целесообразно использовать только для малых систем (не более 5 приборов).

Программное обеспечение АРМ «Орион Про» позволяет реализовать следующее:

¾ накопление событий СКУД в базе данных (проходы через точки доступа; блокировки и разблокировки точек доступа; несанкционированные попытки прохода и т.п.);

¾ создание базы данных для охраняемого объекта — добавление в неё логических объектов СКУД (точек и зон доступа). А также расстановка их на графических планах помещений для реализации возможности централизованного предоставления доступа и мониторинга состояния этих объектов;

¾ формирование базы данных пользователей — занесение реквизитов сотрудников и посетителей с указанием для каждого человека всех необходимых атрибутов (ФИО, информация о принадлежности к фирме, подразделению, рабочий и домашний адрес и телефон и т. п.), а также задание прав доступа (полномочий прохода через точки доступа, нахождения в зоне доступа);

¾ формирование базы данных для учёта рабочего времени — создание графиков работы, а также правил расчёта для различных сотрудников;

¾ опрос и управление подключенными к ПК контроллерами;

¾ групповое конфигурирование контроллеров доступа — централизованную запись в память приборов окон времени, уровней доступа, идентификаторов пользователей;

¾ работу сетевого antipassback;

¾ настройку и работу зонального antipassback;

¾ отображение на графических планах помещений состояния объектов СКУД;

¾ отображение информации о месте нахождения сотрудника с точностью до зоны доступа;

¾ отображение камер охранного телевидения, а также управление состоянием этих камер;

¾ запись видео по команде дежурного офицера, при тревоге детектора движения или по сценарию управления (например, по событию предоставления доступа или попытки осуществления несанкционированного прохода).

Закрепление задач системы контроля и управления доступом за программными модулями изображено на рисунке. Стоит отметить, что физически приборы соединяются с тем компьютером системы, на котором установлена «Оперативная задача Орион Про». Схема подключения приборов изображена на структурной схеме ИСО «Орион». Также на структурной схеме приведено количество рабочих мест, которые могут быть задействованы в системе (программные модули АРМ). Программные модули можно устанавливать на компьютеры произвольно — каждый модуль на отдельном компьютере, комбинация каких-либо модулей на компьютере, либо установка всех модулей на один компьютер.

Авторизация в ESIA на сервере терминалов с ЭЦП по ГОСТ-2012 / Хабр

Электропитание СКУД

Контроллер «С2000-2», предназначенный для системы контроля и управления доступом в ИСО «Орион», питается от низковольтного источника электропитания (ИЭ) напряжением от 10,2 до 15 В, биометрические контроллеры «С2000-BIOAccess-F4», «С2000-BIOAccess-F8» от ИЭ напряжением от 10,8 до 13,2 В, а прибор С2000-4, поддерживающий функции СКУД, имеет диапазон напряжения питания от 10,2 до 28,4 В, что позволяет соответственно применять источники с номинальным выходным напряжением 12 В или 24 В. Особое место в СКУД может занимать персональный компьютер с АРМ дежурного оператора или администратора. Он, как правило, питается от сети переменного тока и его электроснабжение обеспечивается источниками типа UPS.

Для обеспечения непрерывного выполнения задач СКУД целесообразно реализовать систему резервированного электропитания посредством встроенных в РИП, или внешних низковольтных аккумуляторов. Действующий нормативный документ — ГОСТ Р 51241-2008 «Средства и системы контроля и управления доступом» рекомендует в ИЭ иметь индикацию разряда батареи ниже допустимого предела. При этом для автономных систем СКУД индикация разряда может быть световой или звуковой, а для сетевых систем сигнал разряда батарей может передаваться на пульт оператора. Распределенное размещение оборудования по большому объекту, которое легко реализуется в ИСО «Орион» за счет применения линий связи интерфейса RS-485, требует обеспечения питания приборов СКУД (контроллеров, электромагнитных замков и электро- механических защелок) в местах их установки. В зависимости от размера объекта может потребоваться от одного ИЭ до нескольких десятков. На больших, распределенных по территории объектах, расчет схемы электропитания сводится к выбору между использованием маломощных источников питания с короткими отрезками кабелей питания и использованием меньшего количества мощных источников, с прокладкой множества кабелей питания до приборов. Для упрощения этой задачи имеется широкая номенклатура рекомендуемых для СКУД источников питания.

В небольших систем можно применить РИП-12В-1А-7Ач «Protection 2» (выходной ток 1 А, световая индикация наличия, заряда и разряда аккумулятора). Для систем со значительным током потребления используются:

¾ РИП-12-2/7М1, РИП-12-2/7М2 с выходным током 2А.

¾ РИП-12 исп.01 с выходным током 3А.

Для сетевых систем, с передачей сообщений о состоянии электропитания на операторский пульт, можно использовать любой РИП для пожарной автоматики (имеющий релейные выходы) или РИП-12 RS.

Для приборов «С2000-2» и «С2000-4» следует учитывать следующие рекомендации. Электромагнитный замок (защелка) может питаться от того же источника питания, что и контроллер, либо от отдельного источника питания. При питании от одного источника цепи питания контроллера и питания замка должны быть выполнены различными парами проводов, которые объединяются только на клеммах источника питания. Если считыватели имеют ток потребления более 100 мА или они удалены от контроллера на большое расстояние (100 м и более), то для питания считывателя необходимо использовать отдельную пару проводов, идущую непосредственно на источник питания. Если считыватель питается от отдельного источника питания, то контакт «GND» (минусовая цепь питания считывателя) должен соединяться с контактом «GND» (для «С2000-2») или «0В» (для «С2000-4») прибора.

В сетевых СКУД так же может потребоваться надежное электропитание коммуникаторов, модемов, разветвителей. Для этих целей можно эффективно применить РИП-24 исп.06, модули преобразователя МП исп.02 и блок защиты коммутационный БЗК (рис. ниже). Возможность установки в РИП-24 исп.06 аккумуляторных батарей емкостью 2х40 Ач позволяет многократно увеличить время работы системы при отсутствии сетевого напряжения по сравнению с другими блоками питания. Модуль МП исп.02 преобразует напряжение 24 В до требуемого уровня: 3,3; 5; 7,5; 9; 12 В. БЗК осуществляет защиту каждой шины питания в отдельности, т.е. неисправности в одном из устройств не повлияют на работоспособность остального оборудования.

Добавить комментарий

Ваш адрес email не будет опубликован. Обязательные поля помечены *

Adblock
detector